DMZ
区
基本介绍
DMZ
是英文
“
demilitarized zone
”
的缩写，
中文名称为
“隔离区”
，
也称
“非军事化区”
。
它是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，
而设立的一个非安全
系统与安全系统之间的缓冲区，
这个缓冲区位于企业内部网络和外部网络之间的小网络区域
内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业
Web
服务器、
FTP
服务器和论坛等。另一方面，通过这样一个
DMZ
区域，更加有效地保护了内部网络，因为
这种网络部署，比起一般的防火墙方案，对攻击者来说又多了一道关卡。
应用
网络设备开发商，利用这一技术，开发出了相应的防火墙解决方案。称
“非军事区结构
模式”
。
DMZ
通常是一个过滤的子网，
DMZ
在内部网络和外部网络之间构造了一个安全地
带。
DMZ
防火墙方案为要保护的内部网络增加了一道安全防线，
通常认为是非常安全
的。同时它提供了一个区域放置公共服务器，从而又能有效地避免一些互联应用需要公开，
而与内部安全策略相矛盾的情况发生。在
DMZ
区域中通常包括堡垒主机、
Modem
池，以
及所有的公共服务器，
但要注意的是电子商务服务器只能用作用户连接，
真正的电子商务后
台数据需要放在内部网络中。
分类
在这个防火墙方案中，
包括两个防火墙，
外部防火墙抵挡外部网络的攻击，
并管理所有
内部网络对
DMZ
的访问。内部防火墙管理
DMZ
对于内部网络的访问。内部防火墙是内部
网络的第三道安全防线
(
前面有了外部防火墙和堡垒主机
)
，当外部防火墙失效的时候，它还
可以起到保护内部网络的功能。而局域网内部，对于
Internet
的访问由内部防火墙和位于
DMZ
的堡垒主机控制。在这样的结构里，一个黑客必须通过三个独立的区域
(
外部防火墙、
内部防火墙和堡垒主机
)
才能够到达局域网。攻击难度大大加强，相应内部网络的安全性也
就大大加强，但投资成本也是最高的。
防火墙中的概念
网络安全中首先定义的区域是
trust
区域和
untrust
区域，
简单说就是一个是内网
(
trust
)
，
是安全可信任的区域，一个是
internet
，是不安全不可信的区域。防火墙默认情况下是阻止
从
untrust
到
trust
的访问，
当有服务器在
trust
区域的时候，
一旦出现需要对外提供服务的时
候就比较麻烦。
所以定义出一个
DMZ
的非军事区域，让
trust
和
untrust
都可以访问的
一个区域，即不是绝对的安全，也不是绝对的不安全，这就是设计
DMZ
区域的核心思想。
DMZ
非军事化区
DMZ
介绍